Maturità Cyber Resilience Act · Regolamento (UE) 2024/2847 sulla ciberresilienza dei prodotti digitali
I vostri requisiti CRA tradotti in livelli di maturità, in scostamenti documentati e in un piano d’azione quantificato.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità Cyber Resilience Act · Regolamento (UE) 2024/2847 sulla ciberresilienza dei prodotti digitali
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi Regolamento (UE) 2024/2847 (Cyber Resilience Act) avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma una constatazione in una traiettoria.
Disponete di una distinta base software (SBOM) aggiornata per i prodotti che immettete sul mercato?
- N1
Non esiste alcuna distinta base software. I componenti di terze parti di un prodotto sono noti solo agli sviluppatori che li hanno integrati.
- N2
Esistono elenchi di componenti per alcuni prodotti, costituiti manualmente, senza formato comune né aggiornamento a ogni rilascio.
- N3
Uno SBOM viene generato in un formato standard per i prodotti del perimetro, aggiornato a ogni versione pubblicata e conservato con la documentazione tecnica.
- N4
Lo SBOM è prodotto automaticamente dalla catena di build, confrontato con i bollettini di vulnerabilità, e attiva una revisione quando un componente è interessato.
- N5
Lo SBOM copre le dipendenze transitive e i componenti dei fornitori, con un monitoraggio documentato degli scostamenti e una revisione periodica delle regole di accettazione dei componenti.
Azione per passare da L2 a L3
Scegliere un formato di SBOM standard, integrarlo nella definizione di deliverable di ogni versione pubblicata e verificarne la presenza durante la revisione di release, collegandolo al fascicolo tecnico del prodotto.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazione
Di cosa parla questo quadro di riferimento
Il Cyber Resilience Act, regolamento (UE) 2024/2847, si applica ai prodotti con elementi digitali, hardware o software, resi disponibili sul mercato dell’Unione. Fissa requisiti essenziali di cybersicurezza per la progettazione, lo sviluppo e la produzione, e obblighi di gestione delle vulnerabilità per tutto il periodo di supporto. Impone una valutazione di conformità, una documentazione tecnica, una dichiarazione UE di conformità e la marcatura CE. Crea inoltre obblighi di notifica all’ENISA per le vulnerabilità attivamente sfruttate e gli incidenti gravi.
La difficoltà non è leggere il testo, è capire chi fa cosa. Il CRA coinvolge la R&S, la sicurezza prodotto, la qualità, il legale e il supporto, spesso in organizzazioni dove la cybersicurezza è stata pensata per il sistema informativo e non per il prodotto venduto. Conoscete il perimetro esatto dei vostri prodotti interessati e la loro classificazione? Sapete produrre una distinta base software aggiornata per ciascuno di essi? Chi si impegna oggi sul periodo di supporto e sulla distribuzione delle patch di sicurezza?
Una confusione ricorrente: il CRA non è una declinazione della NIS 2. La NIS 2 riguarda la sicurezza delle entità e dei loro sistemi, il CRA i prodotti che un’azienda immette sul mercato. Uno stesso gruppo può essere interessato da entrambi, con referenti e prove diverse. Altro punto di attenzione: il regolamento si applica secondo un calendario scaglionato, con gli obblighi di notifica che intervengono prima degli obblighi generali. Trattare il tema come un semplice dossier di marcatura CE porta a scoprire tardivamente i cantieri di fondo, in particolare la gestione coordinata delle vulnerabilità.
Un audit di conformità si conclude con uno scostamento o una conformità, prodotto per prodotto. La diagnosi di maturità risponde a un’altra domanda: a quale livello di padronanza si situano le vostre pratiche di sicurezza prodotto, e quale azione precisa fa passare al livello successivo. È questo che permette di pilotare un programma di trasformazione su più gamme e più team di sviluppo, con una traiettoria leggibile in comitato di direzione piuttosto che un elenco di requisiti da spuntare.
In Datamensio il quadro di riferimento è pronto all’uso e potete adattarlo. L’IA regola gli ambiti, le domande e i livelli sul vostro portafoglio di prodotti, oppure costruisce una declinazione a partire dalle vostre procedure di sviluppo e dai vostri fascicoli tecnici esistenti. Rilegge poi le risposte, segnala gli scostamenti che si ripetono da una gamma all’altra e redige la restituzione dei risultati, mentre la decisione resta vostra: ogni azione proposta si conserva, si scarta o si riscrive prima di entrare nella roadmap.
Norma di riferimento: Regolamento (UE) 2024/2847 (Cyber Resilience Act)
Gli ambiti valutati
Perimetro e classificazione dei prodotti
Inventario dei prodotti con elementi digitali, ruolo assunto (fabbricante, importatore, distributore), classificazione rispetto alle categorie del regolamento, identificazione dei prodotti critici.
Requisiti essenziali di sicurezza by design
Sicurezza considerata fin dalla progettazione, configurazione sicura di default, riduzione della superficie di attacco, protezione dei dati e delle comunicazioni, controllo degli accessi, registrazione degli eventi.
Analisi del rischio prodotto
Valutazione dei rischi di cybersicurezza per prodotto, documentazione dell’analisi, aggiornamento alle evoluzioni funzionali, considerazione degli usi previsti e degli usi impropri prevedibili.
Distinta base software e catena di approvvigionamento
Produzione e aggiornamento dello SBOM, identificazione dei componenti di terze parti e open source, valutazione dei fornitori, tracciabilità delle dipendenze e delle versioni rilasciate.
Gestione delle vulnerabilità e divulgazione coordinata
Punto di contatto per le segnalazioni, politica di divulgazione coordinata, tempi di trattamento, test e revisioni di sicurezza, monitoraggio delle vulnerabilità non corrette.
Aggiornamenti di sicurezza e periodo di supporto
Determinazione e pubblicazione del periodo di supporto, diffusione delle patch, separazione tra patch di sicurezza ed evoluzioni funzionali, gestione della fine del supporto.
Notifica delle vulnerabilità sfruttate e degli incidenti
Rilevamento e qualificazione, procedure di allerta verso l’ENISA e le autorità nazionali, rispetto dei tempi, informazione agli utenti, tracciabilità delle notifiche.
Valutazione di conformità e documentazione tecnica
Scelta della procedura di valutazione, fascicolo tecnico, dichiarazione UE di conformità, marcatura CE, ricorso a un organismo notificato ove necessario, conservazione delle prove.
Informazione agli utenti
Nota informativa di sicurezza, istruzioni di installazione e configurazione, comunicazione del periodo di supporto, avvertenze e informazioni di fine vita.
Governance e sorveglianza del mercato
Ripartizione delle responsabilità tra R&S, sicurezza, qualità e legale, competenze in sicurezza prodotto, indicatori di pilotaggio, preparazione alle richieste delle autorità di sorveglianza del mercato.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
Il Cyber Resilience Act si certifica?
No nel senso di una certificazione volontaria di tipo ISO. Il regolamento impone una valutazione di conformità, una dichiarazione UE di conformità e la marcatura CE, con l’intervento di un organismo notificato per alcune categorie di prodotti. La diagnosi Datamensio misura la maturità delle vostre pratiche e prepara questo dossier, non rilascia alcuna attestazione.
Che differenza c’è tra questa diagnosi e un audit di conformità CRA?
L’audit esamina un prodotto e si conclude con uno scostamento o una conformità. La diagnosi situa le vostre pratiche su una scala di maturità, ambito per ambito, e indica l’azione che fa passare al livello successivo. Serve a inquadrare il programma prima dell’audit e a seguirne l’avanzamento.
Quanto tempo richiede la valutazione?
La versione breve si compila in 20-30 minuti da un responsabile sicurezza prodotto. La versione completa, in modalità collaborativa, si sviluppa generalmente su una o due settimane, con la maggior parte del tempo dedicata a raccogliere gli elementi presso R&S, qualità e supporto.
Si può adattare il quadro di riferimento al nostro portafoglio di prodotti?
Sì. Le domande, i livelli e gli ambiti sono modificabili, e potete aggiungere i vostri requisiti interni. L’IA produce una declinazione per famiglia di prodotti o per business unit a partire dalle vostre procedure di sviluppo.
Come si articola questa diagnosi con la NIS 2 o la ISO 27001?
La NIS 2 e la ISO 27001 riguardano l’organizzazione e i suoi sistemi, il CRA i prodotti immessi sul mercato. Le pratiche di gestione delle vulnerabilità e di analisi del rischio si sovrappongono in parte. Una roadmap trasversale permette di consolidare più diagnosi senza duplicare le azioni.
Serve una competenza tecnica per rispondere?
Le domande riguardano le pratiche di progettazione, di gestione delle vulnerabilità e di documentazione, non configurazioni precise. Un responsabile sicurezza prodotto o un responsabile qualità può rispondere, assegnando alla modalità collaborativa le domande di competenza dell’ingegneria.
Si possono confrontare più linee di prodotti tra loro?
Sì. Lo stesso quadro di riferimento può essere distribuito su più business unit o gamme, con un benchmark tra entità e rispetto alle valutazioni precedenti. Gli scostamenti alimentano una roadmap consolidata a livello di gruppo.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione Europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.